Analyse d'impact sur l'activité : un élément essentiel de la planification de la continuité des activités

Dans la plupart des entreprises, les équipes informatiques connaissent bien les processus de reprise après sinistre et de continuité d'activité. Cependant, certaines d'entre elles ne sont peut-être pas conscientes de l'importance de réaliser une analyse d'impact sur l'activité (BIA). Une BIA constitue l'un des éléments essentiels d'un plan de continuité d'activité. Elle aide les entreprises à évaluer l'impact financier des pannes ou de toute autre perturbation affectant leurs activités.

Qu'est-ce qu'une analyse d'impact sur l'activité et pourquoi est-elle importante ?

Une analyse d'impact sur l'activité (BIA) permet d'identifier les conséquences d'une perte soudaine des fonctions opérationnelles, généralement en termes de coûts pour l'entreprise. Une BIA identifie également les fonctions métier les plus critiques, ce qui vous permet d’élaborer un plan de continuité d’activité qui donne la priorité à la reprise de ces fonctions essentielles. Cependant, la cause de la perturbation de l’activité n’a pas d’importance. Elle peut être due à une négligence, à une catastrophe naturelle, à une cyberattaque ou à d’autres causes. L’analyse porte plutôt sur l’impact de la catastrophe sur l’activité, hiérarchise les ressources et détermine la meilleure approche pour la reprise.

Une analyse d'impact sur les affaires (BIA) comprend trois éléments clés :

• Impact sur l'activité
• Délais
• Dépendances

Chacun de ces points est abordé plus en détail ci-dessous. En tant qu’élément fondamental d’un plan de continuité d’activité, une analyse d’impact sur l’activité (BIA) est essentielle à la reprise des activités en cas de sinistre.

Impact sur l'activité

Identifier les fonctions opérationnelles les plus critiques en fonction de leur coût pour l'entreprise

Une analyse d'impact sur l'activité (BIA) identifie les fonctions essentielles d'une entreprise qui assurent sa pérennité : l'ensemble de ses processus métier, les ressources nécessaires à leur exécution et les systèmes requis à cet effet. Le coût potentiel lié à une interruption d'activité, tel que la perte de chiffre d'affaires, les sanctions pour non-respect de la réglementation, les pénalités contractuelles résultant du non-respect des accords de niveau de service (SLA), l'augmentation des coûts opérationnels, etc., est calculé en dollars réels pour chaque fonction métier.

Pour évaluer l'impact financier, une approche consiste à utiliser un questionnaire comportant des questions dont les réponses sont notées sur une échelle de 1 à 5. Par exemple :

• À combien s'élèverait la perte potentielle de chiffre d'affaires si cette fonction opérationnelle venait à être interrompue ?
• Quelles amendes et sanctions l'entreprise risquerait-elle ?
• Quelle augmentation des coûts d'exploitation l'entreprise devrait-elle subir ?

L'entreprise pourrait également subir des coûts autres que financiers. Il s'agit notamment d'une atteinte à sa réputation et d'une perte de clientèle. Votre questionnaire pourrait également comporter des questions telles que :

• Quel serait l'impact potentiel sur la réputation de l'entreprise ?
• Quel serait l'impact sur le service client ?

Identifier les menaces potentielles pesant sur ces fonctions

Une fois que votre analyse d'impact sur l'activité (BIA) a identifié les fonctions métier critiques, elle détermine les risques qui y sont associés, ainsi que les conditions susceptibles de provoquer une interruption des processus métier et la probabilité de réapparition du risque.

Délais

Votre analyse d'impact sur les activités (BIA) doit porter sur trois horizons temporels :

• Objectif de point de reprise (RPO) — Il s'agit généralement de l'intervalle entre deux sauvegardes de données, qui correspond à la durée maximale pendant laquelle des données pourraient être perdues en cas de sinistre.
• Objectif de délai de reprise (RTO) — Le temps qu'il vous faudrait pour restaurer vos données à partir d'une sauvegarde.
• Temps d'arrêt maximal admissible (MAD) — Durée maximale d'interruption de service qu'une fonction métier donnée peut se permettre. Elle doit inclure le temps nécessaire pour rétablir le fonctionnement complet de cette fonction après la restauration d'une sauvegarde.

Dépendances

Une analyse d'impact sur l'activité (BIA) doit permettre d'identifier les dépendances entre les processus métier et les systèmes. Cela permet de hiérarchiser les systèmes dont la reprise doit être prioritaire. Une BIA vous aide à déterminer l'ordre dans lequel les fonctions ou processus perdus doivent être rétablis. Une fonction métier dont le bon fonctionnement est indispensable à un plus grand nombre de processus métier se verra attribuer une priorité plus élevée dans le processus de reprise que les autres.

Il peut également exister des dépendances vis-à-vis de certains prestataires avec lesquels vous devrez collaborer pour rétablir divers systèmes et fonctions. Il peut s'agir notamment de prestataires informatiques et de fournisseurs d'accès à Internet ; ces dépendances doivent être consignées dans votre analyse d'impact sur les activités (BIA).

Existe-t-il des normes BIA ?

Plusieurs normes fournissent des recommandations sur la manière d'élaborer une analyse d'impact sur les activités (BIA). Parmi celles-ci figurent la norme ISO 22301 de l'Organisation internationale de normalisation (ISO), la norme NFPA 1600 de la National Fire Protection Association et la norme BCP du Federal Financial Institutions Examination Council (FFIEC) destinée aux établissements financiers.

Analyse d'impact sur l'activité dans le cadre de la planification de la continuité des activités

Un plan de continuité d'activité (PCA) décrit les mesures à prendre en cas de panne ou de perturbation, tandis qu'une analyse d'impact sur l'activité (AIA) identifie les risques susceptibles d'entraîner une panne ainsi que les fonctions métier critiques qui pourraient être affectées par celle-ci, et établit un ordre de priorité pour leur rétablissement. Une analyse d'impact sur l'activité (BIA) jette les bases d'un plan de continuité d'activité solide et prépare une organisation aux efforts inévitables nécessaires pour se remettre d'une perturbation de l'activité. Les plans de continuité d'activité (BCP) ne se concentrent pas uniquement sur les opérations techniques (problèmes matériels/logiciels), mais prennent également en compte le personnel et les autres ressources associées à la continuité d'activité.

Une fois votre analyse d'impact sur l'activité (BIA) mise en place, il est recommandé de la réexaminer et de la mettre à jour régulièrement, car votre entreprise évolue au fil du temps. Cela vous permet d'exploiter efficacement cette analyse pour faire face aux nouveaux risques et défis. Il est conseillé de procéder à cette révision au moins tous les deux ans. Associée à un plan de continuité d'activité, une analyse d'impact sur l'activité permet à une organisation de réduire au minimum les temps d'arrêt et de garantir la productivité de son personnel, même en cas de crise.

Pour en savoir plus sur la planification de la continuité d'activité, consultez notre ebook « Transformer une crise en opportunité ».